Nollatietotodistukset ja P2P-yksityisyys dVPN-verkoissa

Mitä SASE oikeastaan on ja miksi sillä on merkitystä?

Oletko koskaan yrittänyt käyttää kankeaa VPN-yhteyttä kahvilassa, vain huomataksesi netin matelevan etanan vauhtia, kun yrität avata yksinkertaista taulukkolaskentaohjelmaa? Se on yksi turhauttavimmista asioista nykyaikaisessa "työskentele mistä vain" -arjessa, mutta juuri siksi SASE on tällä hetkellä kaikkien huulilla.

Ennen vanhaan tietoturva oli kuin linna vallihautoineen – toimistolla oli järeä palomuuri, ja niin kauan kuin olit sen sisäpuolella, olit "turvassa". Nykyään datamme on kuitenkin kaikkialla. Käytämme Salesforcea keittiön pöydän ääressä, tarkastelemme potilastietoja tableteilla tai hallitsemme varastosaldon tilannetta suoraan hallin lattialta.

IBM:n oppaan mukaan SASE (lausutaan kuten englannin sana "sassy") on lyhenne sanoista Secure Access Service Edge. Kyseessä on tapa yhdistää verkkotoiminnot ja tietoturva yhdeksi pilvipohjaiseksi kokonaisuudeksi. Näin kaikkea liikennettä ei tarvitse kierrättää pääkonttorin pölyisen palvelinhuoneen kautta vain sähköpostien tarkistamiseksi.

• SD-WAN (Verkko): Tämä on järjestelmän "aivot", jotka päättelevät nopeimman reitin datallesi, käytitpä sitten 5G-yhteyttä, kotiautomaation Wi-Fiä tai toimiston kuitua.
• SSE (Tietoturva): Tämä on "järjestyksenvalvoja". Se tulee sanoista Security Service Edge. Termi esiteltiin myöhemmin laajemman SASE-viitekehyksen erikoistuneeksi osaksi hoitamaan nimenomaan suojaukseen liittyvät tehtävät.
• The Edge (Reuna): Yhden keskitetyn keskittimen sijaan tietoturva toteutetaan "läsnäolopisteissä" (Points of Presence, PoP), jotka sijaitsevat lähellä fyysistä sijaintiasi.

Gartnerin vuoden 2021 raportti määritteli tietoturvapuoliskon nimenomaan SSE-termillä. Tämä on tärkeää, koska se estää niin sanotun "hairpinning"-ilmiön – tuon ärsyttävän viiveen, jossa datasi matkustaa satoja kilometrejä konesaliin vain palatakseen takaisin verkkosivustolle, joka sijaitsee kymmenen kilometrin päässä lähtöpisteestäsi.

Jos johdat vähittäiskauppaketjua tai pientä lääkäriasemaa, et halua hallinnoida kymmentä eri tietoturvalaitetta. SASE yksinkertaistaa asioita siirtämällä säännöt pilveen. Kuten Microsoft huomauttaa, tämä auttaa soveltamaan samoja sääntöjä niin puistossa istuvaan etätyöntekijään kuin neuvotteluhuoneessa olevaan toimitusjohtajaan.

Kyse ei ole vain nopeudesta, vaan siitä, ettei digitaalista takaovea jätetä auki. Seuraavaksi pureudumme tarkemmin ydinkomponentteihin, kuten SD-WANiin, ja siihen, miten tietoturvapuoli käytännössä toimii.

SASE-arkkitehtuurin osa-alueet palasteltuna

Oletko koskaan miettinyt, miksi yrityksesi verkko tuntuu valtavalta ja solmussa olevalta lankakerältä, johon kukaan ei halua koskea? Rehellisesti sanottuna se johtuu siitä, että yritämme edelleen ratkaista vuoden 2025 haasteita vuoden 2010 työkaluilla. SASE on käytännössä ne sakset, joilla tuo sotku vihdoin katkaistaan.

Ajattele SD-WAN-ratkaisua datasi älykkäänä GPS-navigaattorina. Ennen vanhaan käytimme MPLS-linjoja – ne olivat kalliita, yksityisiä maksullisia teitä, jotka johtivat vain toimistollesi. Jos olit etätöissä kotona, jouduit ajamaan koko matkan toimistolle vain päästäksesi internetin "turvalliselle" tielle. Se oli hidasta ja suoraan sanottuna hieman ryöstöä.

Kuten CodiLimen blogikirjoituksessa todetaan, SD-WAN erottaa verkkolaitteiston ohjaustoiminnoista. Tämä tarkoittaa, ettet ole sidottu siihen kankeaan reitittimeen, joka kaapissasi sattuu olemaan; ohjelmisto päättää, kulkeeko Zoom-puhelusi toimiston kuituyhteyden, 5G-verkon vai kotilaajakaistasi kautta sen mukaan, mikä niistä toimii parhaiten juuri nyt.

• Eroon laiterumbasta: Et tarvitse miljoonaa kallista laatikkoa jokaiseen toimipisteeseen. "Aivot" sijaitsevat ohjelmistossa.
• Yhteyden laatuun perustuva reititys: Jos ensisijainen internet-yhteytesi alkaa pätkiä (viive, jitter tai muut tavalliset epäillyt), SD-WAN siirtää liikenteesi automaattisesti varayhteydelle ilman, että edes huomaat sitä.
• Kustannusten karsiminen: Voit lopettaa kalliiden MPLS-yhteyksien maksamisen ja käyttää tavallista internetiä, mikä tekee talousosastosta huomattavasti iloisemman.

Jos SD-WAN on GPS, niin SSE (Security Service Edge) on panssaroitu auto. Se on SASE-mitalin turvallisuuspuoli. Kuten aiemmin mainitsimme, Gartner kehitti tämän termin, koska jotkut yritykset ovat jo ratkaisseet verkkoasiansa ja haluavat vain tietoturvaosion.

SSE on merkittävä harppaus, koska se niputtaa yhteen työkalut kuten SWG (Secure Web Gateway – työkalu, joka suodattaa verkkoliikennettä ja estää haitalliset sivustot), CASB (Cloud Access Security Broker – turvatarkastuspiste käyttäjien ja pilvisovellusten välillä) ja FWaaS (Firewall as a Service – pilvipohjainen palomuuri, joka skaalautuu liikenteesi mukaan) yhdeksi alustaksi. Zscalerin vuoden 2024 raportti huomauttaa, että SSE on SASE:n osajoukko, joka keskittyy nimenomaan näihin tietoturvapalveluihin. (Zscaler 2024 AI Security Report) Se on täydellinen ratkaisu yritykselle, joka toimii jo "pilvi ensin" -periaatteella eikä välitä suurten fyysisten toimipisteverkkojen hallinnasta.

SSE auttaa organisaatioita pääsemään eroon "hairpinning"-ilmiöstä – siitä ärsyttävästä tilanteesta, jossa liikenteesi kiertää 500 kilometrin päässä sijaitsevan datakeskuksen kautta vain tarkistettavaksi, ennen kuin se pääsee varsinaiselle verkkosivustolle.

Saatat miettiä: "Enkö voi vain ostaa sitä tietoturvaosuutta?" Toki voit. Mutta SASE on se "parempi yhdessä" -versio. Kun yhdistät verkkotoiminnot (SD-WAN) ja tietoturvan (SSE), saat hallinnan yhdestä näkymästä.

Esimerkiksi vähittäiskauppaketju voi käyttää SASE-ratkaisua 500 myymälän yhdistämiseen. Sen sijaan, että jokaisessa kaupassa olisi erillinen palomuuri ja reititin, heillä on käytössään yksi yhtenäinen SASE-käytäntö. Jos kassahenkilö Seattlessa yrittää päästä epäilyttävälle sivustolle, SWG estää sen välittömästi, samalla kun SD-WAN varmistaa, että luottokorttitapahtumat pysyvät nopeimmalla mahdollisella reitillä.

Terveydenhuollossa tämä on vieläkin kriittisempää. Lääkäri, joka pitää etävastaanottoa kotoaan, tarvitsee pientä viivettä (kiitos SD-WAN:in), mutta hänen on myös oltava tietosuojamääräysten mukainen (kiitos SSE:n). Jos käytössäsi on vain puolet palapelistä, seurauksena on joko pätkivä video tai tietoturva-aukko.

Olen nähnyt tämän toimivan käytännössä usealla tavalla:

1. Finanssiala: Valtakunnallinen luotto-osuuskunta käytti SASEa yhdistääkseen tietoturvatyökalunsa, mikä vähensi IT-tiimin seurattavien hallintapaneelien määrää.
2. Valmistava teollisuus: Yritys, jolla on tehtaita ympäri maailmaa, käytti sitä IoT-sensoreidensa suojaamiseen ilman, että insinöörejä tarvitsi lennättää jokaiseen kohteeseen konfiguroimaan laitteistoja.
3. Koulutus: Yliopistot käyttävät sitä antaakseen opiskelijoille pääsyn kirjastoresursseihin mistä tahansa, pitäen samalla kampuksen pääverkon turvassa haittaohjelmilta, joita ihmiset väistämättä lataavat omille kannettavilleen.

Kyse ei ole vain trendikkäästä lyhenteestä – kyse on siitä, että keittiön pöydän ääressä istuvalla työntekijällä on sama suoja kuin pääkonttorin väellä. Seuraavaksi tarkastelemme, miksi "luottamus" on SASE-maailmassa kirosana.

Kuinka SASE tehostaa uhkien tunnistamista

Oletko koskaan miettinyt, miksi yrityksesi "turvallinen" verkko tuntuu olevan kasassa vain purkalla ja rukouksilla? Syy on yleensä siinä, että luotamme yhä käyttäjiin heidän fyysisen sijaintinsa perusteella – mikä on rehellisesti sanottuna surkea tapa hallita tietoturvaa vuonna 2025.

SASE-arkkitehtuurin ydin uhkien torjunnassa on Zero Trust (nollaluottamus). Ennen vanhaan toimistolla istuvaa työntekijää pidettiin automaattisesti "hyvänä tyyppinä". Zero Trust kääntää tämän ajattelumallin päälaelleen: se olettaa jokaisen olevan potentiaalinen uhka, kunnes toisin todistetaan.

Kuten Microsoft on aiemmin tässä oppaassa todennut, kyse ei ole vain kertakirjautumisesta. Kyse on identiteettipohjaisesta pääsynhallinnasta. Järjestelmä tarkistaa jatkuvasti: Onko tämä todella yrityksen toimitusjohtaja? Miksi hän kirjautuu sisään tabletilla eri maasta kello kolmelta yöllä?

• Konteksti on kuningas: SASE-alusta analysoi laitteesi kunnon, sijaintisi ja sen, mitä resurssia yrität käyttää, ennen kuin se päästää sinut sisään.
• Mikrosegmentointi: Koko linnan avainten sijaan saat pääsyn vain siihen tiettyyn sovellukseen, jota tarvitset. Jos hakkeri varastaa salasanasi, hän jää jumiin yhteen huoneeseen sen sijaan, että pääsisi vaeltamaan vapaasti koko rakennuksessa.
• Laitteen kuntotarkistus: Päätelaitteiden suojaustyökalut varmistavat, että kannettavan tietokoneen palomuuri on päällä ja ohjelmistot päivitetty, ennen kuin API-rajapinta sallii yhteyden muodostamisen.

Yksi SASE:n hienoimmista ominaisuuksista uhkien tunnistamisessa on se, että se tekee sovelluksistasi "näkymättömiä". Perinteisessä mallissa VPN-yhdyskäytäväsi näkyy avoimesti internetissä, mikä on käytännössä suora kutsu hakkereille.

Trend Micron vuoden 2024 raportin mukaan ZTNA (Zero Trust Network Access) korvaa kankeat VPN-yhteydet ja piilottaa sovelluksesi julkiselta verkolta. Jos hakkeri skannaa internetiä etsiessään yrityksesi palkanlaskentaohjelmaa, hän ei löydä sitä. Sitä ei ole hänelle olemassa, koska SASE-arkkitehtuurin "ovimies" näyttää oven vain niille, joiden henkilöllisyys on jo vahvistettu.

Koska kaikki liikenne kulkee SASE-pilven läpi, se voi hyödyntää tekoälyä sellaisten poikkeavien kaavojen havaitsemiseen, joita ihminen ei huomaisi. Se on kuin turvavartija, joka on painanut mieleensä jokaisen työntekijän tarkan kävelytyylin ja puhetavan.

Zscalerin tuore analyysi selittää, että koska SSE (Security Service Edge) on rakennettu suoraan pilveen, se pystyy suorittamaan syvällisen tarkastuksen (DPI) salatulle liikenteelle ilman, että internetyhteytesi tuntuu vanhalta modeemiyhteydeltä.

Suurin osa nykyisistä haittaohjelmista on piilotettu salatun liikenteen sisään. Perinteiset palomuurit kamppailevat nähdäkseen näiden pakettien sisälle, koska se vaatii valtavasti laskentatehoa. Mutta koska SASE toimii verkon reunalla (Edge), se voi avata paketit, tarkistaa virukset koneoppimisen avulla ja sulkea ne uudelleen millisekunneissa.

Olen nähnyt tämän pelastavan useita eri aloja:

1. Terveydenhuolto: Lääkäri käyttää omaa iPadiaan potilastietojen tarkistamiseen. SASE-järjestelmä huomaa, ettei laite ole salattu, ja estää pääsyn arkistoon, mutta sallii silti työsähköpostin lukemisen.
2. Vähittäiskauppa: Myymäläpäällikkö yrittää ladata epäilyttävän liitetiedoston. SWG (Secure Web Gateway) tunnistaa haittaohjelman pilvessä, ennen kuin se ehtii edes koskettaa myymälän paikallisverkkoa.
3. Finanssiala: Luotto-osuuskunta käyttää SASE-ratkaisua varmistaakseen, että vaikka konttorin fyysinen internetyhteys vaarantuisi, data pysyy salattuna ja "sisältä ulospäin" suuntautuvat yhteydet estävät hyökkääjiä liikkumasta verkossa sivusuunnassa.

Kyse on pohjimmiltaan hyökkäyspinta-alan minimoimisesta. Jos hyökkääjät eivät näe sovelluksiasi ja tekoäly valvoo jokaista epätavallista liikettä, olet huomattavasti vahvemmilla.

Seuraavaksi tarkastelemme, miten tämä "sassy" kokonaisuus tekee verkon hallinnasta helpompaa – ja edullisempaa.

Todellisia hyötyjä liiketoiminnallesi

Kukaan ei rehellisesti sanottuna herää aamulla innoissaan hallitsemaan verkon palomuuria. Se on yleensä kiitollinen työ, jossa kuulee palautetta vain silloin, kun internet on hidas tai VPN-yhteys ei toimi. SASE kuitenkin muuttaa tilanteen tekemällä koko kokonaisuuden hallinnasta huomattavasti helpompaa ja säästämällä samalla merkittäviä summia rahaa.

Yksi IT-alan suurimmista päänvaivoista on "hallintakonsoliväsymys". Sinulla on yksi näyttö reitittimille, toinen palomuurille ja kenties kolmas pilviturvallisuudelle. Se on uuvuttavaa. Zscalerin mukaan SSE (joka on SASE:n tietoturvapuoli) mahdollistaa kaikkien näiden erillisten pistetuotteiden keskittämisen yhdelle alustalle. Tämä laskee luonnollisesti yleiskustannuksia ja saa talousosaston lopettamaan hiillostamisen.

• Eroon laitekeskeisestä ajattelusta: Sinun ei tarvitse ostaa kalliita laitteistoja joka kerta, kun avaat uuden sivutoimipisteen. Koska tietoturva sijaitsee pilvessä, tarvitset vain tavallisen internetyhteyden ja olet valmis toimimaan.
• MPLS-kustannusten leikkaaminen: Kuten aiemmin mainitsimme, voit lopettaa ylihintaisten yksityislinjojen maksamisen. SASE hyödyntää julkista internetiä, mutta saa sen toimimaan kuin yksityinen verkko – tämä on todellinen pelinmuuttaja budjetin kannalta.
• Skaalaaminen ilman draamaa: Jos palkkaat huomenna 50 uutta työntekijää, sinun ei tarvitse tilata 50 uutta fyysistä tunnistetta tai suurempaa VPN-keskitintä. Päivität vain pilvilisenssisi ja jatkat matkaa.

Olemme kaikki olleet siinä tilanteessa – yrität liittyä Zoom-puheluun samalla, kun VPN reitittää liikennettäsi "hairpinning"-tekniikalla maapallon toisella puolella sijaitsevan konesalin kautta. Yhteys pätkii ja tekee mieli heittää kannettava tietokone seinään. Koska SASE hyödyntää aiemmin mainitsemiamme paikallisia solmupisteitä (Points of Presence, PoP), tietoturvatarkistus tapahtuu lähellä käyttäjää.

Zscalerin vuoden 2024 katsaus selittää, että tämä hajautettu arkkitehtuuri tarkoittaa, että kahvilassa työskentelevä henkilöstösi saa yhtä nopeat yhteydet kuin pääkonttorilla istuvat kollegansa.

Tämä näkyy käytännössä useilla tavoilla:

1. Vähittäiskauppa: Myymäläpäällikön on tarkistettava varastotilanne tabletilla. Sen sijaan, että hän odottaisi hidasta yhteyttä taustajärjestelmään, SASE reitittää hänet suoraan ja turvallisesti pilvisovellukseen.
2. Rahoitusala: Kotona työskentelevä lainavirkailija voi käyttää arkaluonteisia tietokantoja ilman "VPN:n latauspalloa" jokaisella tallennuskerralla.
3. Valmistava teollisuus: Etätoimipisteet voivat yhdistää IoT-anturinsa pilveen ilman, että paikan päällä tarvitaan IT-asiantuntijaa korjaamaan fyysistä palomuuria aina sen vikaantuessa.

Kyse on pohjimmiltaan tietoturvan muuttamisesta näkymättömäksi. Kun se toimii oikein, työntekijät eivät edes huomaa sen olemassaoloa – he vain toteavat, että sovellukset toimivat nopeasti. Seuraavaksi vedämme yhteen sen, miten voit käytännössä aloittaa siirtymisen kohti tätä modernia verkkotulevaisuutta rikkomatta jo rakennettuja kokonaisuuksia.

SASE-arkkitehtuurin käyttöönotto ilman päänvaivaa

Oletko päättänyt siirtyä SASE-malliin, mutta pelkäät samalla hajottavasi kaiken tähän asti rakennetun? Et ole yksin. Kukaan ei halua olla se henkilö, joka vahingossa kaataa koko yrityksen verkon tiistaiaamuna.

SASE-ratkaisun (Secure Access Service Edge) käyttöönoton ei tarvitse olla "kaikki uusiksi kerralla" -tyyppinen painajainen. Sen voi toteuttaa vaiheittain, mikä on huomattavasti järkevämpää sekä mielenrauhan että budjetin kannalta.

Viisain tapa aloittaa on ratkaista suurin ongelmakohta ensin – ja yleensä se on kankea, vanhanaikainen VPN. Kuten aiemmin totesimme, perinteisen VPN-yhteyden korvaaminen ZTNA-ratkaisulla (Zero Trust Network Access) on täydellinen ensiaskel. Se parantaa etätyöntekijöiden yhteysnopeuksia ja tietoturvaa merkittävästi ilman, että toimiston fyysiseen laitteistoon tarvitsee koskea.

• Tunnista "kruununjalokivet": Aloita siirtämällä kaikkein kriittisimmät ja arkisimmat sovellukset SASE-portinvartijan taakse.
• Valitse pilottiryhmä: Anna muutaman teknisesti suuntautuneen markkinoinnin tai myynnin työntekijän testata uutta pääsyhallintaa ennen kuin laajennat sen koko yritykseen.
• Siivoa käyttöoikeudet: Käytä muutosta tilaisuutena poistaa ne vanhat käyttäjätunnukset, jotka ovat lojuneet järjestelmässä vuosia.

Zscalerin vuoden 2024 raportin mukaan digitaalisen käyttökokemuksen seuranta (DEM) on integroitumassa osaksi SASE-alustoja, mikä on merkittävä harppaus. Koska SASE sijaitsee suoraan käyttäjän ja sovelluksen välissä, se näkee suorituskykydataa aitiopaikalta. Tämä tarkoittaa, että näet tarkalleen, miksi käyttäjän yhteys takkuaa – johtuuko se heidän huonosta kotiverkostaan vai todellisesta verkko-ongelmasta – jo ennen kuin he ehtivät soittaa tukeen.

Sinun ei myöskään tarvitse ostaa kaikkea yhdeltä toimittajalta. Jotkut yritykset suosivat yhden toimittajan mallia selkeyden vuoksi, kun taas toiset valitsevat kahden toimittajan mallin, jossa nykyinen verkkoinfrastruktuuri säilytetään ja sen päälle lisätään uusi pilvipohjainen tietoturvakerros.

Microsoftin SASE-opas suosittelee, että SASE-käyttöönotto kytketään nykyisiin identiteetinhallintajärjestelmiin. Jos käytössäsi on jo kertakirjautuminen (SSO), varmista, että SASE-työkalu keskustelee sen kanssa saumattomasti. Näin työntekijöiden ei tarvitse opetella taas uutta salasanaa.

Olen nähnyt tämän vaiheittaisen lähestymistavan toimivan eri toimialoilla:

1. Koulutusala: Yliopisto aloitti suojaamalla kirjaston tutkimustietokannat ZTNA-tekniikalla ja siirsi sen jälkeen kampuksen Wi-Fi-verkon tietoturvan pilveen.
2. Teollisuus: Globaali yritys piti tehtaiden laitteistot ennallaan, mutta siirsi kaikkien ulkopuolisten alihankkijoiden pääsynhallinnan SASE-alustalle pitääkseen pääverkon näkymättömänä ulkopuolisille.
3. Vähittäiskauppa: Kauppaketju otti pilvipalomuurit (FWaaS) käyttöön ensin uusissa toimipisteissä, kun taas vanhat toimipisteet pysyivät perinteisessä tekniikassa laitesopimusten päättymiseen saakka.

Lopulta SASE on jatkuva prosessi, ei viikonloppuprojekti. Aloita pienestä, osoita sen toimivuus ja laajenna sitten. Verkkosi – ja yöunesi – kiittävät sinua myöhemmin.